<!DOCTYPE html>
<html>
  <head><meta name="generator" content="Hexo 3.8.0">
  <meta http-equiv="content-type" content="text/html; charset=utf-8">
  <meta content="width=device-width, initial-scale=1.0, maximum-scale=1.0, user-scalable=0" name="viewport">
  <meta name="description" content="fengzhaoyang&#39;s blog">
  <meta name="keyword" content="hexo-theme, vuejs">
  
  <link rel="shortcut icon" href="/css/images/logo.png">
  
  <title>
    
    Kibana 搜索教程 | fzy-blog
    
  </title>
  <link href="//cdnjs.cloudflare.com/ajax/libs/font-awesome/4.7.0/css/font-awesome.min.css" rel="stylesheet">
  <link href="//cdnjs.cloudflare.com/ajax/libs/nprogress/0.2.0/nprogress.min.css" rel="stylesheet">
  <link href="//cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/styles/tomorrow.min.css" rel="stylesheet">
  <link rel="stylesheet" href="/css/style.css">
  
  <script src="//cdnjs.cloudflare.com/ajax/libs/jquery/3.2.1/jquery.min.js"></script>
  <script src="//cdnjs.cloudflare.com/ajax/libs/geopattern/1.2.3/js/geopattern.min.js"></script>
  <script src="//cdnjs.cloudflare.com/ajax/libs/nprogress/0.2.0/nprogress.min.js"></script>
  
  <script src="/js/qrious.js"></script>
  
  
  
  
    <!-- MathJax support START -->
    <script type="text/x-mathjax-config">
      MathJax.Hub.Config({
        tex2jax: {
          inlineMath: [ ['$','$'], ["\\(","\\)"]  ],
          processEscapes: true,
          skipTags: ['script', 'noscript', 'style', 'textarea', 'pre', 'code']
        }
      });
    </script>

    <script type="text/x-mathjax-config">
      MathJax.Hub.Queue(function() {
        var all = MathJax.Hub.getAllJax(), i;
        for (i=0; i < all.length; i += 1) {
          all[i].SourceElement().parentNode.className += ' has-jax';
        }
      });
    </script>
    <script type="text/javascript" src="//cdnjs.cloudflare.com/ajax/libs/mathjax/2.7.5/MathJax.js?config=TeX-AMS-MML_HTMLorMML"></script>
    <!-- MathJax support END -->
  


</head>
<div class="wechat-share">
  <img src="/css/images/logo.png">
</div>
  <body>
    <header class="header fixed-header">
  <div class="header-container">
    <a class="home-link" href="/">
      <div class="logo"></div>
      <span>fzy-blog</span>
    </a>
    <ul class="right-list">
      
        <li class="list-item">
          
            <a href="/" class="item-link">Home</a>
          
        </li>
      
        <li class="list-item">
          
            <a href="/tags/" class="item-link">Tags</a>
          
        </li>
      
        <li class="list-item">
          
            <a href="/archives/" class="item-link">Archives</a>
          
        </li>
      
        <li class="list-item">
          
            <a href="/project/" class="item-link">Projects</a>
          
        </li>
      
        <li class="list-item">
          
            <a href="/about/" class="item-link">About</a>
          
        </li>
      
    </ul>
    <div class="menu">
      <span class="icon-bar"></span>
      <span class="icon-bar"></span>
      <span class="icon-bar"></span>
    </div>
    <div class="menu-mask">
      <ul class="menu-list">
        
          <li class="menu-item">
            
              <a href="/" class="menu-link">Home</a>
            
          </li>
        
          <li class="menu-item">
            
              <a href="/tags/" class="menu-link">Tags</a>
            
          </li>
        
          <li class="menu-item">
            
              <a href="/archives/" class="menu-link">Archives</a>
            
          </li>
        
          <li class="menu-item">
            
              <a href="/project/" class="menu-link">Projects</a>
            
          </li>
        
          <li class="menu-item">
            
              <a href="/about/" class="menu-link">About</a>
            
          </li>
        
      </ul>
    </div>
  </div>
</header>

    <div id="article-banner">
  <h2>Kibana 搜索教程</h2>
  <p class="post-date">2019-05-24</p>
  <div class="arrow-down">
    <a href="javascript:;"></a>
  </div>
</div>
<main class="app-body flex-box">
  <!-- Article START -->
  <article class="post-article">
    <section class="markdown-content"><h1 id="Kibana-搜索教程"><a href="#Kibana-搜索教程" class="headerlink" title="Kibana 搜索教程"></a>Kibana 搜索教程</h1><p>1 概述<br>很多系统的日志都会放在 Kibana 供查询，就是所谓的 ELK。Kibana 除了可以使用界面供的一些 tab 或者 button 去筛选日志，也可以在搜索栏中使用 Lucene 的语法简单的交互式查询。可以做基于字段的特定搜索，过滤数据，也可以查看索引号的文档。<br>查询的语法可以参考 官方文档 ，非常易读，非常容易，包括正则语法和其他模糊匹配方法。</p>
<p>2 Lucene 语法查询<br>2.1 简易查询<br>如果查询的时候没有明确查询的字段，会默认为 _all 字段，也就是全文查询。也可以指定一个字段，又称为 field 来查询。</p>
<p>全文查询 Exception<br>Exception</p>
<p>指定查询字段 message 里的 Exception<br>message: Exception</p>
<p>查询短语<br>message: “java.lang.NullPointerException”</p>
<p>任何 message 字段都包含 Exception<br>message*: Exception</p>
<p>通配符的使用，? 代替单个字符，_ 代替零个或者多个字符<br>message: Exceptio_</p>
<p>正则表达式通过使用 / 包围，可以植入到查询的字符串中<br>message: /Ex?(cep[tion])/</p>
<p>另一个正则的使用，匹配的含义是「两位非 abc 的任意字符」<br>info.recallId: /[^abc]{2}/<br>2.2 多字段查询<br>可以通过一些布尔操作符来使用，如果查询中没有任意的操作符号，那么默认使用 OR 操作符。</p>
<p>支持 AND, OR, NOT，也可以写成&amp;&amp;, ||, !操作符<br>message: ((Exception AND Error) OR (Error AND Exception) OR Error) AND NOT Exception</p>
<p>包含 lucene 但不包含 elasticsearch<br>lucene NOT elasticsearch</p>
<ul>
<li>必须包含，其他可有可无，lucene 必须包含，apache 可有可无…<br>+lucene apache</li>
</ul>
<p>不能出现的操作符号”-“，包含了 lucence，但不包含 apache…<br>+lucene-apache<br>2.3 范围操作<br>可以指定日期、数字或者字符串字段的范围</p>
<p>[min TO max] 是闭区间<br>{min TO max} 是开区间<br>@timestamp: [1510536210000 TO 1510550000000]</p>
<ul>
<li>表示一端不限制范围<br>count:[10 TO *]<br>2.4 转义<br>保留字符包括以下，需要使用转义符来进行转义：</li>
</ul>
<p>例子<br>message: “domain=jobmd_ent4ent”</p>
<p>转义符<br>±=&amp;&amp;||&gt;&lt;!(){}[]^”~*?😕<br>2.5 模糊查询<br>使用””字符以及一个紧随其后的整数值，当使用该修饰符修饰一个词项的时候，意味着我们想搜索那些包含该此项近词项的文档。””字符后的整数值确定了近似词项与原始词项的最大编辑距离。</p>
<p>mastering book Elasticsearch 也会被认为匹配<br>title: “mastering Elasticsearch”~2<br>3 Kibana 中一些好用的功能<br>3.1 Save Search<br>可以保存之前的 query，通过历史记录可以查找最近的使用。</p>
<p>3.2 时间过滤器<br>可以设置相对 relative 或者绝对 absolute 时间过滤器，前者是相对于当前时间的时间，后者是绝对时间。</p>
<p>3.3 自动刷新<br>固定的查询条件的情况下，可以设置自动刷新的时间来刷新可视区域。</p>
<p>3.4 直方图选择区域<br>选择区域可以出发时间过滤器。</p>
<p>3.5 字段列表搜索字段<br>可以通过 add 添加不同组合。</p>
<p>3.6 share 功能<br>导航栏处有一个 share 按钮，将查询的语句通过链接的方式进行分享，分别团队成员一起查询。</p>
<p>4 应用例子-某用户的推荐 bad case<br>确定这个 bad case 的请求参数，拿到 id 和 domain<br>确定请求发生的时间或者时间段</p>
<p>已知 domain 为 bbs_app_recomm，并且用户名为「oscar」的请求，在 2017 年 11 月 7 日 下午 4 点前后，有一次推荐的 bad case，需要这次推荐的过程，了解为何会产生这次推荐的结果。<br>通过查询到的结果上下浏览，得到该用户的 recall 和 rerank 结果，大致可以找到 bad case 的原因。<br>message: “oscar” AND @timestamp: 1510042056000</p>
<p>参考：<br><a href="https://segmentfault.com/a/1190000002972420" target="_blank" rel="noopener">https://segmentfault.com/a/1190000002972420</a><br><a href="https://zhuanlan.zhihu.com/p/33791813" target="_blank" rel="noopener">https://zhuanlan.zhihu.com/p/33791813</a></p>
</section>
    <!-- Tags START -->
    
    <div class="tags">
      <span>Tags:</span>
      
  <a href="/tags#分布式日志监控">
    <span class="tag-code">分布式日志监控</span>
  </a>

    </div>
    
    <!-- Tags END -->
    <!-- NAV START -->
    
  <div class="nav-container">
    <!-- reverse left and right to put prev and next in a more logic postition -->
    
      <a class="nav-left" href="/2019/05/24/分布式日志监控/JVM监控/">
        <span class="nav-arrow">← </span>
        
          JVM 监控
        
      </a>
    
    
      <a class="nav-right" href="/2019/05/24/分布式搜索ES/ELK/">
        
          ELK
        
        <span class="nav-arrow"> →</span>
      </a>
    
  </div>

    <!-- NAV END -->
    <!-- 打赏 START -->
    
    <div class="money-like">
      <div class="reward-btn">
        赏
        <span class="money-code">
          <span class="alipay-code">
            <div class="code-image"></div>
            <b>使用支付宝打赏</b>
          </span>
          <span class="wechat-code">
            <div class="code-image"></div>
            <b>使用微信打赏</b>
          </span>
        </span>
      </div>
      <p class="notice">若你觉得我的文章对你有帮助，欢迎点击上方按钮对我打赏</p>
    </div>
    
    <!-- 打赏 END -->
    <!-- 二维码 START -->
    
    <div class="qrcode">
      <canvas id="share-qrcode"></canvas>
      <p class="notice">扫描二维码，分享此文章</p>
    </div>
    
    <!-- 二维码 END -->
    
    <!-- No Comment -->
    
  </article>
  <!-- Article END -->
  <!-- Catalog START -->
  
  <aside class="catalog-container">
  <div class="toc-main">
    <strong class="toc-title">Catalog</strong>
    
      <ol class="toc-nav"><li class="toc-nav-item toc-nav-level-1"><a class="toc-nav-link" href="#Kibana-搜索教程"><span class="toc-nav-text">Kibana 搜索教程</span></a></li></ol>
    
  </div>
</aside>
  
  <!-- Catalog END -->
</main>

<script>
  (function () {
    var url = 'https://fengzhaoy.github.io/2019/05/24/分布式日志监控/Kibana搜索教程/';
    var banner = ''
    if (banner !== '' && banner !== 'undefined' && banner !== 'null') {
      $('#article-banner').css({
        'background-image': 'url(' + banner + ')'
      })
    } else {
      $('#article-banner').geopattern(url)
    }
    $('.header').removeClass('fixed-header')

    // error image
    $(".markdown-content img").on('error', function () {
      $(this).attr('src', 'http://file.muyutech.com/error-img.png')
      $(this).css({
        'cursor': 'default'
      })
    })

    // zoom image
    $(".markdown-content img").on('click', function () {
      var src = $(this).attr('src')
      if (src !== 'http://file.muyutech.com/error-img.png') {
        var imageW = $(this).width()
        var imageH = $(this).height()

        var zoom = ($(window).width() * 0.95 / imageW).toFixed(2)
        zoom = zoom < 1 ? 1 : zoom
        zoom = zoom > 2 ? 2 : zoom
        var transY = (($(window).height() - imageH) / 2).toFixed(2)

        $('body').append('<div class="image-view-wrap"><div class="image-view-inner"><img src="' + src +
          '" /></div></div>')
        $('.image-view-wrap').addClass('wrap-active')
        $('.image-view-wrap img').css({
          'width': `${imageW}`,
          'transform': `translate3d(0, ${transY}px, 0) scale3d(${zoom}, ${zoom}, 1)`
        })
        $('html').css('overflow', 'hidden')

        $('.image-view-wrap').on('click', function () {
          $(this).remove()
          $('html').attr('style', '')
        })
      }
    })
  })();
</script>


<script>
  var qr = new QRious({
    element: document.getElementById('share-qrcode'),
    value: document.location.href
  });
</script>





    <div class="scroll-top">
  <span class="arrow-icon"></span>
</div>
    <footer class="app-footer">
  <p class="copyright">
    &copy; 2019
  </p>
</footer>

<script>
  function async (u, c) {
    var d = document,
      t = 'script',
      o = d.createElement(t),
      s = d.getElementsByTagName(t)[0];
    o.src = u;
    if (c) {
      o.addEventListener('load', function (e) {
        c(null, e);
      }, false);
    }
    s.parentNode.insertBefore(o, s);
  }
</script>
<script>
  async ("//cdnjs.cloudflare.com/ajax/libs/fastclick/1.0.6/fastclick.min.js", function () {
    FastClick.attach(document.body);
  })
</script>

<script>
  var hasLine = 'true';
  async ("//cdnjs.cloudflare.com/ajax/libs/highlight.js/9.12.0/highlight.min.js", function () {
    $('figure pre').each(function (i, block) {
      var figure = $(this).parents('figure');
      if (hasLine === 'false') {
        figure.find('.gutter').hide();
      }
      var lang = figure.attr('class').split(' ')[1] || 'code';
      var codeHtml = $(this).html();
      var codeTag = document.createElement('code');
      codeTag.className = lang;
      codeTag.innerHTML = codeHtml;
      $(this).attr('class', '').empty().html(codeTag);
      figure.attr('data-lang', lang.toUpperCase());
      hljs.highlightBlock(block);
    });
  })
</script>
<!-- Baidu Tongji -->

<script src="/js/script.js"></script>
  </body>
</html>